こんにちは。DevOpsの世界へようこそ。
大規模な組織になればなるほど、「全プロジェクトでセキュリティ基準を守らせる」という課題は、エンジニアにとって最大の頭痛の種になります。「READMEに手順を書いたから読んでおいて」なんていう性善説に基づいた統制は、もはや幻想です。
GitLabには、そんな地獄を終わらせるための最強の武器があります。それが「Compliance Frameworks（コンプライアンス・フレームワーク）」です。今日は、数百のプロジェクトを抱える組織でも、たった一つの設定で全チームを強制的に「安全な土俵」に引き上げる魔法の術を伝授します。
—
1. なぜ「Compliance Frameworks」が必要なのか？
普通、各プロジェクトの`.gitlab-ci.yml`は、各チームが自由に編集できます。しかし、これでは「うっかりデバッグ用の脆弱な設定をコミットした」「セキュリティスキャンを無効化した」といった事故を防げません。
Compliance Frameworksを使えば、「プロジェクトの`.gitlab-ci.yml`とは別に、管理者側が強制的に走らせるパイプライン」を注入できます。チームがどんなに設定を変えようが、あなたの用意したセキュリティチェックは必ず通らなければならない。これが、大規模開発における「ガバナンス」の正体です。
—
2. 構築の「Hello World」：まずはここから
まずは、仕組みを理解するために最小構成で実装してみましょう。必要なのは「管理用プロジェクト」と「適用対象プロジェクト」の2つだけです。
ステップ1：管理用プロジェクトの作成
セキュリティスキャンを記述した`compliance.yml`を持つプロジェクトを、専用の管理グループ配下に作ります。
.compliance-template.yml (管理用プロジェクトに保存)
どんなプロジェクトでも必ず実行されるスキャン
compliance_scan:
stage: test
script:
- echo “— セキュリティチェック実行中 —“
- ./scanner_tool –target . –fail-on-vulnerability
rules:
- if: $CI_PIPELINE_SOURCE == “push”
ステップ2：フレームワークの登録
GitLabの左メニューから 「Settings」 > 「General」 > 「Compliance frameworks」 を開き、「New framework」をクリックします。
- Name: `Production-Security-Standard`
- Pipeline configuration full path: `path/to/group/project/.compliance-template.yml@group/project`
これで、GitLab側に「この名前のフレームワークは、あのファイルを読み込め」というマッピングが完了します。
—
3. 現場で震えるほど役立つ「強制適用」のハック
単にスクリプトを走らせるだけなら、インクルードと変わりません。ここからが「伝説のエンジニア」が教える現場の知見です。
① パイプラインを「外付け」して不可視化する
管理用パイプラインを `compliance.yml` として定義し、それを各プロジェクトの `include` 設定に関係なく「強制注入」します。これにより、開発者が意図的にセキュリティジョブを削除しようとしても、GitLabのパイプライン設定でブロック（あるいは上書き）することが可能です。
② 開発チームとの「衝突」を避けるコツ
「セキュリティの強制」は時として開発者の反発を招きます。そこで重要なのが、`rules`の活用です。
現場で推奨する安全な書き方
security_check:
script: ./run_scan.sh
rules:
# 特定のブランチだけ強制し、開発中は警告のみにするなど柔軟に設定
- if: $CI_COMMIT_BRANCH == $CI_DEFAULT_BRANCH
when: always
- when: manual # 開発中は手動実行で様子を見てもらう
—
4. まとめ：自動化で「守る」から「攻める」へ
ここまで設定できれば、あとは新しいプロジェクトを作る際に、そのプロジェクトの設定画面で「Compliance Framework」をポチッと選択するだけです。
1. ガバナンスの自動化: 人の手を介さず、全リポジトリが強制的に安全になる。
2. 標準化の徹底: ツール選定やバージョン管理に悩む時間が消滅する。
3. 心理的安全性の確保: 「これさえやっていれば怒られない」という基準が明確になる。
これらをマスターすれば、あなたは単なる「作業者」から、組織の「アーキテクト」へと進化します。毎日の作業が劇的に楽になるだけでなく、チーム全員が「本質的なコードを書くこと」に集中できるようになりますよ。
さあ、次のコミットから、あなたの組織を「最強の安全地帯」に変えていきましょう！